Limitahan kung sino ang makakaabot sa RDP, panatilihing naka-enable ang Network Level Authentication kung sinusuportahan, gumamit ng indibidwal na malalakas na credential at bawasan ang administrative privilege. Subukan ang pangalawang session at recovery access bago isara ang kasalukuyang koneksyon.
Ituring ang desktop bilang hangganan ng administration
Ang isang RDP session ay nagbibigay ng interactive na access sa isang remote system, kaya ang account na ginamit para dito ay maaaring maging mahalagang target. Magsimula sa pagpapasya kung sino ang nangangailangan ng access at anong trabaho ang dapat nilang gawin. Ang ibinahaging administrator login ay maginhawa hanggang sa kailangan mong alisin ang access ng isang tao o unawain ang pagbabago sa configuration. Ginagawang mas malinaw ng mga indibidwal na account ang mga gawaing pang-operasyong iyon.
Ihiwalay ang rutinang aktibidad mula sa mga privileged na pagbabago kung pinapayagan ito ng software. Ang user na nangangailangan ng business application ay hindi laging nangangailangan ng walang limitasyong system administration. Panatilihin ding maayos ang endpoint ng administrator: ang pag-secure sa remote machine ay hindi nagpoprotekta sa mga credential na inilagay mula sa nahawaang o ibinahaging lokal na device. Isaalang-alang ang magkabilang dulo ng session sa disenyo ng access.
Limitahan ang maaabot bago umasa sa proteksyon ng login
Magpasya kung aling mga network o awtorisadong device ang dapat makakaabot sa session host. Kung sinusuportahan ito ng iyong architecture, gumamit ng kontroladong VPN o Remote Desktop Gateway sa halip na malawakang ilantad ang administration. Idinodokumento ng Microsoft ang RD Gateway bilang ruta sa mga panloob na resource na may mga patakaran sa awtorisasyon ng koneksyon at resource. Ang pagiging angkop nito ay depende sa environment; hindi ito kasamang feature dahil lamang sinusuportahan ng isang plano ang RDP.
Limitahan ang mga firewall rule sa inilaang landas, at kumpirmahin kung paano hahawakan ang mga dynamic na address ng client. Huwag gumawa ng mahigpit na rule na agad na magdidiskonekta sa nag-iisang administrator nang walang opsyon sa recovery. Panatilihing bukas ang kasalukuyang session, subukan ang bagong landas mula sa ibang session at idokumento ang awtorisadong mekanismo ng recovery bago alisin ang lumang ruta ng access.
Panatilihing malinaw ang authentication at trust
Inirerekomenda ng Microsoft ang Network Level Authentication para sa karamihan ng sinusuportahang environment. Ang NLA ay nangangailangan ng authentication bago magtatag ng buong remote session, na nagdaragdag ng proteksyon sa yugtong iyon. Hindi nito pinapalitan ang firewall, patakaran ng account o mga update ng system. Suriin ang compatibility ng client at lutasin ang mga problema sa authentication sa halip na permanenteng pahinain ang configuration bilang unang tugon.
Gumamit ng natatanging credential at pangalawang factor sa pamamagitan ng sinusuportahang access architecture kung maaari. I-verify ang inaasahang remote identity at pag-uugali ng certificate, lalo na pagkatapos ng rebuild o pagbabago ng hostname. Ang babala sa certificate ay nararapat imbestigahan; ang paulit-ulit na pagtanggap sa hindi inaasahang pagkakakilanlan ay ginagawang hindi pinapansin na dialog ang isang kapaki-pakinabang na trust check. Panatilihin ang recovery credential sa aprubadong pribadong imbakan.
| Antas | Desisyon | Beripikasyon |
|---|---|---|
| Network | Aling mga client ang maaaring makaabot sa host? | Hindi makakakonekta ang hindi inaasahang pinagmulan |
| Pagpapatunay ng pagkakakilanlan | Aling account at factor ang kinakailangan? | Nagtagumpay ang pinahintulutang pangalawang session |
| Pribilehiyo | Aling mga gawain ang nangangailangan ng administration? | Hindi mababago ng mga routine user ang mga setting ng system |
| Pagbawi | Paano naibabalik ang access pagkatapos ng pagkakamali? | Available ang naidokumentong landas ng recovery |
Bawasan ang maaaring dalhin ng session
Suriin ang clipboard, drive, printer at iba pang feature ng redirection laban sa aktwal na workflow. Maaaring hindi kailangan ng administrator na malantad ang bawat lokal na resource sa remote host. Sa kabaligtaran, ang pag-disable sa kinakailangang landas ng paglilipat nang walang alternatibo ay maaaring maghikayat ng hindi ligtas na workaround. Idokumento ang pinahihintulutang paraan ng paglilipat ng file, at panatilihing wala sa ordinaryong desktop note o ibinahaging download directory ang mga secret.
Para sa angkop na domain-based na environment, nagbibigay ang Microsoft ng Remote Credential Guard upang bawasan ang paglalantad ng credential sa panahon ng RDP koneksyon. Nangangailangan ito ng compatible na client at Kerberos authentication at sinusuportahan ang direktang koneksyon sa target machine; hindi sinusuportahan ang mga koneksyon sa pamamagitan ng Remote Desktop Gateway o Connection Broker. Suriin ang mga kinakailangan para sa iyong aktwal na landas ng access sa halip na ituring ito bilang unibersal na proteksyon para sa standalone hosted Windows machine.
Panatilihin ang makina at ang ebidensyang kailangan mo
I-iskedyul ang mga update ng operating system at application, kabilang ang sinadyang proseso ng restart. Suriin kung ang isang update ay nangangailangan ng reboot at i-verify ang serbisyo pagkatapos. Magtakda ng makatuwirang patakaran sa session para sa hindi binabantayang o nadiskonektang trabaho, ngunit isaalang-alang ang mga application na dapat patuloy na tumakbo. Ang patakaran sa timeout ay dapat sumagot sa pangangailangang pangseguridad o pang-operasyon sa halip na kopyahin lamang ang arbitraryong numero mula sa ibang environment.
Panatilihin ang kapaki-pakinabang na impormasyon sa access at insidente sa ilalim ng naidokumentong patakaran. Subaybayan ang paulit-ulit na pagkabigo sa authentication at hindi inaasahang aktibidad ng administration nang hindi nangongolekta ng hindi kinakailangang nilalaman. Limitahan kung sino ang makakabasa ng diagnostic record at magpasya kung gaano katagal kailangan ang mga ito. Ang tumpak na patakaran sa logging ay mas makabuluhan kaysa sa pagpapanatili ng lahat nang walang hanggan o pangako na walang operational record na maaaring umiral.
Isang ligtas na pagkakasunod-sunod sa unang session
Sa paghahatid, i-verify ang inaasahang system, baguhin ang pansamantalang credential sa pamamagitan ng aprubadong proseso at magtatag ng indibidwal na access. Kumpirmahin ang firewall at ruta ng recovery, pagkatapos subukan ang pangalawang koneksyon. Ilapat ang mga update, suriin ang redirection at i-install ang kinakailangang application. Gumawa ng backup at magsanay sa pagbawi ng mga setting na mahalaga bago umasa sa desktop para sa pang-araw-araw na trabaho.
Nag-aalok ang DeskLink RDP at mga piling dedicated configuration ng mga pagpipiliang may kaugnayan sa Windows sa catalogue ng SwissOctet. Kumpirmahin ang operating system, licensing, mga pribilehiyo ng account at mga responsibilidad sa pamamahala para sa iyong order. Ang sinusuportahang desktop connection ay simula ng plano sa administration; ang mga kontrol na iyong i-configure at i-verify ang tumutukoy kung paano ginagamit ang access na iyon.
Ang iyong praktikal na checklist.
- Gumamit ng indibidwal na account at angkop na pribilehiyo.
- Limitahan ang inilaang landas ng access sa RDP.
- Panatilihing naka-enable ang NLA sa compatible na system.
- Subukan ang pangalawang session bago isara ang kasalukuyang access.
- Suriin ang redirection, mga update at patakaran sa session.
- Kumpirmahin ang licensing at ang pamamaraan ng recovery.
Ang mga detalyeng mahalaga.
Ginagawa ba ng NLA na ganap na ligtas ang isang nakalantad na RDP host?+
Hindi. Ang NLA ay isang kontrol sa pagpapatotoo. Ang maabot, mga kredensyal, mga update at pribilehiyo ay nangangailangan pa rin ng pansin.
Maaari ko bang gamitin ang Remote Credential Guard sa bawat Windows server?+
Hindi. Ang kliyente, host at kapaligiran ng pagpapatotoo ay dapat matugunan ang mga kinakailangan ng Microsoft, kabilang ang naaangkop na kaayusan ng Kerberos.
Ano ang dapat kong gawin bago higpitan ang firewall?+
I-verify ang isang ruta ng pagbawi, panatilihin ang gumaganang sesyon at subukan ang bagong pinapayagang landas sa pamamagitan ng pangalawang koneksyon.
Pumunta sa pinagmulan.
Sinusuportahan ng mga sangguniang ito ang mga teknikal na konsepto sa gabay na ito. Sundin ang kasalukuyang dokumentasyon bago baguhin ang isang production system.
- Microsoft: Paganahin ang Remote Desktop at Network Level Authentication learn.microsoft.com
- Microsoft: Pag-access sa Remote Desktop Gateway learn.microsoft.com
- Microsoft: Remote Credential Guard learn.microsoft.com
Editorial guidance ni SwissOctet. Ang mga halimbawa ay ilustratibo. Ang service specifications, available options at contractual conditions ay dapat beripikahin nang hiwalay.